E01 镜像怎么用
E01 是 EnCase 风格的证据镜像格式（EWF 家族），本身是容器：里面存放按段压缩的原始数据与元数据，不能直接用 dd 类工具读取。libewf 提供的 ewfmount 会把镜像挂成只读虚拟视图，挂载点下出现一个 ewf1 文件，它就是完整的原始磁盘视图，后续用 Sleuth Kit 等工具直接对它操作即可；ewfverify 用镜像内置的校验值验证各段完整性，ewfinfo 则输出采集时间、哈希与压缩等元数据，跨机器移交前先跑一遍很有必要。
基本信息
| 适用平台 | Linux 分析环境，需安装 libewf 工具集（ewfmount/ewfverify/ewfinfo） |
|---|---|
| 挂载 | ewfmount 镜像 挂载点，生成只读虚拟文件 ewf1 |
| 校验 | ewfverify 逐个数据段比对内置校验值 |
| 元数据 | ewfinfo 输出采集时间、设备信息、哈希与压缩方式 |
| 分段镜像 | E01/E02/… 全部段文件必须位于同一目录且命名连续 |
典型使用场景
- 接收对方移交的 E01 镜像，先校验再开始分析
- 在只读虚拟视图上做文件系统解析，避免解压出数百 GB 临时文件
- 核对镜像元数据中的采集时间与哈希，确认与移交单一致
- 分段镜像的完整性确认，发现缺段及时要求补件
- 把 E01 与原始 dd 镜像的分析流程统一，后续命令写法一致
校验、挂载与解析
校验、挂载与解析
# 1) 先看元数据（采集时间、哈希算法与值）
ewfinfo /evidence/disk.E01
# 2) 完整性校验：比对镜像内置的各段校验值
ewfverify /evidence/disk.E01 | tail -3
# 3) 只读挂载，得到原始磁盘视图
mkdir -p /mnt/ewf && ewfmount /evidence/disk.E01 /mnt/ewf
ls -l /mnt/ewf
# 4) 后续按普通镜像解析（注意分区偏移）
fls -o 2048 -r -m "/" /mnt/ewf/ewf1 | head
# 5) 收尾：先卸载再整理
umount /mnt/ewf工具输出读法
| 工具 | 输出要点 | 判读方法 |
|---|---|---|
| ewfinfo | 采集时间、设备型号、哈希、压缩方式 | 与移交单逐项核对，不一致立即反馈 |
| ewfverify | 逐段校验结果与最终结论 | 出现校验失败说明镜像损坏或传输出错 |
| ewfmount | 挂载点下的 ewf1 文件 | 确认大小与磁盘容量一致再开始分析 |
| fls 等解析结果 | 文件系统条目 | 偏移用分区起始扇区乘 512 |
ewfverify 校验的是镜像内部各段的校验值，用来确认容器本身完整；对提取出的原始数据再计算一次哈希，则是分析侧的完整性记录。两者都要保留在记录里，不要互相替代。
挂载点下的 ewf1 是虚拟视图而非实体文件，不能复制也无法直接按文件路径长期引用；需要传给别人时，仍以原始 E01 与哈希为准。